Se ha observado un nuevo y activo ataque a la cadena de suministro npm que abusa de credenciales comprometidas de mantenedores para autopropagar código malicioso a través de paquetes en el ecosistema Node.js. El malware roba material de autenticación (tokens npm, credenciales de nube, secretos CI/CD, claves SSH y datos de cartera) y utiliza cualquier token de publicación descubierto para inyectarse en paquetes adicionales propiedad del mismo mantenedor, creando una propagación lateral similar a la de un gusano.
La campaña fue identificada por Socket y StepSecurity y afecta a múltiples paquetes publicados por Namastex Labs, con al menos 16 paquetes comprometidos confirmados en el momento del informe. Debido a su modelo de propagación basado en credenciales, el radio de explosión puede expandirse rápidamente en entornos donde los desarrolladores o los sistemas CI conservan permisos de publicación.
El código malicioso se inyectaba en paquetes npm legítimos y se ejecutaba automáticamente cuando se instalaba el paquete. Una vez ejecutado, el payload realiza un extenso descubrimiento secreto en el sistema anfitrión, escaneando en busca de:
Si el malware localiza credenciales de publicación npm válidas (por ejemplo, a través de variables de entorno o ~/.npmrc):
Los investigadores describen explícitamente el malware como un "gusano de la cadena de suministro" capaz de propagarse de forma autónoma sin intervención del atacante una vez obtenidas las credenciales.
Si se descubren las credenciales PyPI en el mismo sistema, el malware intenta comprometer los paquetes Python utilizando un mecanismo de persistencia basado en .pth. Esto amplía el ataque más allá de JavaScript, convirtiéndolo en una amenaza de la cadena de suministro multiecosistema.
En el momento de la publicación, se confirmó que los siguientes paquetes y versiones eran maliciosos y debían considerarse totalmente comprometidos:
Estos paquetes se utilizan habitualmente en herramientas de agentes de IA y servicios de datos backend, lo que aumenta el valor de los entornos comprometidos.
Las organizaciones deben investigar en busca de
La rápida cadencia de republicación (múltiples versiones maliciosas publicadas en cuestión de horas) es un indicador de comportamiento notable en esta campaña.
Si le preocupa alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más importantes a las que se enfrenta su organización, póngase en contacto con su gestor de cuenta o, alternativamente, póngase en contactopara averiguar cómo puede proteger su organización.